7.5 文件化信息

ISO/IEC 27001:2022　7 支持

条款正文

7.5.1 总则
组织的信息安全管理体系应包括:
a) 本标准要求的文件化信息;
b) 为信息安全管理体系有效性，组织所确定的必要的文件化信息。
注 5:不同组织有关信息安全管理体系文件化信息的详略程度可以是不同的,
这是由于:
1) 组织的规模及其活动、过程、产品和服务的类型;
2) 过程及其相互作用的复杂性;
3) 人员的能力。

7.5.2 创建和更新
创建和更新文件化信息时,组织应确保适当的:
a) 标识和描述(例如标题、日期、作者或引用编号);
b) 格式(例如语言、软件版本、图表)和介质(例如纸质的、电子的);
c) 对适宜性和充分性的评审和批准。

7.5.3 文件化信息的控制
信息安全管理体系及本标准所要求的文件化信息应得到控制,以确保:
a) 在需要的地点和时间,是可用的和适宜使用的;
b) 得到充分保护(如避免保密性损失、不恰当使用、完整性损失等)。
为控制文件化信息,适用时,组织应强调以下活动:
c) 分发,访问,检索和使用;
d) 存储和保护,包括保持可读性;
e) 控制变更(例如版本控制);
f) 保留和处理。
组织确定的为规划和运行信息安全管理体系所必需的外来的文件化信息,应得到适当的识别,并予以控制。
注:访问隐含着仅允许浏览文件化信息,或允许和授权浏览及更改文件化信息等决定。

审核要点

• 文件完整
• 文件受控
• 文件审批
• 文件更新
• 文件版本管理
• 外来文件控制
• 记录管理
• 日志记录管理
• 防篡改措施
• 保存期限明确

审核证据示例

• 文件控制程序
• 记录控制程序
• 受控文件清单
• 制度文件
• 操作规程
• 审批记录
• 修订记录
• 日志管理制度
• 日志留存记录
• 数据备份记录

审核记录示例

查阅文件控制程序1份。
查阅记录控制程序1份。
查阅受控文件清单1份。
抽查信息安全管理制度3份。
抽查操作规程2份。
查阅文件审批记录3份。
查阅修订记录2份。
查阅日志管理制度1份。
查阅数据备份记录2份。
经核实，组织建立并保持信息安全管理体系所需文件化信息，相关文件和记录能够得到有效控制和保护。

高频问题清单

• 文件未审批
• 文件未更新
• 使用作废版本
• 外来文件失控
• 日志保存不足
• 记录缺失
• 无版本控制
• 电子文档权限混乱
• 文件可随意修改
• 保存期限不明确

审核公式

文件记录受控制，
版本状态要标识；
制定审批和更新，
真实有效有依据。

审核链条

文件编制 → 审批发布 → 使用控制 → 修订更新 → 记录形成 → 保存保护 → 到期处置

不符合项（NC）格式

审核抽查信息安全管理体系文件管理活动，发现组织未建立《信息安全风险评估程序》，无法提供标准要求的成文信息。
无法证实组织已保持信息安全管理体系及本标准要求的成文信息。
不符合ISO/IEC 27001:2022标准7.5条有关：
“组织的信息安全管理体系应包括：
a）本标准要求的成文信息；
b）组织确定的为确保信息安全管理体系有效性所必需的成文信息。”
的要求。
审核抽查文件控制活动，发现《信息安全管理手册》未经批准即发布使用，文件中未标明版本号和发布日期。
无法证实组织已对信息安全管理体系成文信息实施适当控制。
不符合ISO/IEC 27001:2022标准7.5条有关：
“信息安全管理体系和本标准要求的成文信息应得到控制，以确保：
a）在需要的场所和时间均可获得并适用；
b）得到充分保护。”
的要求。
审核抽查文件管理活动，发现多个岗位仍在使用已作废版本的《访问控制管理制度》，现场无法识别文件当前有效版本。
无法证实组织已确保信息安全管理体系成文信息得到有效控制。
不符合ISO/IEC 27001:2022标准7.5条有关：
“信息安全管理体系和本标准要求的成文信息应得到控制。”
的要求。
审核抽查记录管理活动，发现组织无法提供最近一次信息安全风险评估记录。
无法证实组织已保留信息安全管理体系运行所需的成文信息作为证据。
不符合ISO/IEC 27001:2022标准7.5条有关：
“组织应保留适当的成文信息，作为活动实施的证据。”
的要求。
审核抽查记录控制活动，发现信息安全事件处置记录缺少责任人、处置时间等关键信息，且部分记录存在随意修改现象。
无法证实组织已对成文信息进行适当保护并保持其完整性。
不符合ISO/IEC 27001:2022标准7.5条有关：
“信息安全管理体系和本标准要求的成文信息应得到控制，以确保其得到充分保护。”
的要求。
审核抽查外来文件管理活动，发现组织使用的法律法规清单版本已失效，且未及时更新相关管理要求。
无法证实组织已识别并控制信息安全管理体系运行所需的外来成文信息。
不符合ISO/IEC 27001:2022标准7.5条有关：
“组织确定的、为信息安全管理体系策划和运行所必需的外来成文信息应得到适当识别和控制。”
的要求。

常见问题清单

• 建立了哪些信息安全文件？
• 文件如何审批发布？
• 文件如何修订更新？
• 如何控制外来文件？
• 如何管理电子文档？
• 如何管理安全记录？
• 日志是否纳入记录管理？
• 文件保存期限如何规定？
• 如何防止未授权修改？
• 如何防止记录丢失？

加入检查表 →